Firewall por site: bloqueio e whitelist de IP direto no WordPress (mu-plugin). Protege login, admin, REST e xmlrpc. Configure em cada ativo abaixo. Páginas em cache do Cloudflare passam por fora — para essas, use bloqueio na rede.